Kje v resnici izhaja internetni izhod vašega upravljanega VPN
„Internet vključen“ ne pove ničesar o tem, kje izhaja javni promet, kdo ga filtrira ali kaj preživi izpad. Sledite poti in nato zapišite oba scenarija izpada.
Ne morete reči, kdo filtrira javni promet podružnice, dokler predlog ne pokaže, kje ta promet zapusti omrežje ponudnika. Dostop do interneta, vključen v upravljani VPN, je druga storitev, ki poteka po poti z lastnimi prehodi, lastnim prevajanjem naslovov in lastno čakalno vrsto za stopnjevanje. Večina pogodb podrobno opisuje zasebno stran in javno stran prepusti enemu stavku. Spodnja preverjanja spremenijo ta stavek v diagram, ki ga lahko zagovarjate.
Sledite enemu javnemu cilju na lokacijo
Izberite gostitelja v podružnici in sledite enemu javnemu cilju, pri čemer zabeležite zadnji naslov, ki pripada ponudniku, in prvega, ki pripada internetu. Skok med tema dvema naslovoma je izhod in pogosto ni nikjer blizu lokacije, ki je paket poslala. Označite napravo, ki izvede prehod, ker ima prav ta naprava filter, ki odloča, kaj gre ven. Ponovite sledenje z druge lokacije in primerjajte izhodne naslove, ker lahko dve podružnici, ki sta na računu videti enaki, izstopita skozi različne prehode v različnih mestih.
Zabeležite tudi izvorni naslov, ki ga cilj dejansko vidi, ker se prevajanje lahko zgodi na skoku, ki ga nikoli niste narisali. Zapišite opažene odgovore ob narisanih, in vrzel med njimi je mesto, od koder bo prišel prvi incident. Inženir ponudnika, ki ne more dati izhodnega naslova za določeno lokacijo, vam je že povedal nekaj koristnega o zasnovi.
Tri razporeditve izhoda in kaj vsaka koncentrira
Osrednji izhod, ki ga upravljate sami, vleče javni promet na vaš lastni prehod, kar vam da politiko filtriranja in dnevnike, a zbere obremenitev vseh lokacij na eno povezavo. Izhod, ki ga upravlja ponudnik, premakne politiko in dnevnike čez mejo pogodbe, kar poenostavi delovanje in vam v isti potezi odvzame vidnost. Izhod na vsaki lokaciji ohranja javni promet lokalen in pomnoži število političnih površin, ki morajo ostati enake.
| Arrangement | Blast radius of one failure | Address a partner allowlists |
|---|---|---|
| Central exit you operate | Every site, through one circuit and one team | Your own exit pool |
| Provider-run exit | Their shared gateway and its change window | Their NAT pool, often shared |
| Exit at each site | One branch, one local device | Each site's local address |
Vprašajte, katero od treh ponudnik v resnici ponuja, preden seznam obravnavate kot meni, in vprašajte, ali se lahko lokacija premika med njimi brez nove povezave. Odgovor o migraciji loči pogodbeno od zgolj tehničnega. Zabeležite tudi, kdo ima prevajanje izvornih naslovov, ker to določa, kaj mora partner dodati na seznam dovoljenih. Skupni prehodi pomenijo tudi skupno zmogljivost in včasih skupni ugled, kar spremeni, kako partnerji obravnavajo vaše naslove. Zmogljivost si zasluži svoje vprašanje, ker skupni prehod v istem trenutku streže drugim strankam.
Filtriranje, prevajanje in šifriranje imajo ločene lastnike
Pot vzpostavi dosegljivost in ne pove ničesar o pregledu, zato obravnavajte oboje kot različni vprašanji z različnimi lastniki. Za vsako oglaševano privzeto pot navedite napravo, ki filtrira, napravo, ki preverja identiteto, napravo, ki prevaja, in napravo, ki pregleduje, nato navedite, kdo upravlja vsako. Ločevanje poti pri ponudniku ne pove, kje se šifriranje konča, in zasebna storitev lahko svoj tunel konča na eni meji, medtem ko se javni izhod konča na drugi. Vprašajte, ali prevajanje poteka na robu ponudnika, na skupnem prehodu ali na vašem lastnem izhodu, in ali obstajajo dnevniki sej ter kako dolgo se hranijo. Preštejte lastnike v odgovorih, ker pogodba, ki imenuje eno stran za štiri naloge, običajno tri od njih pusti nedokumentirane.
Široka privzeta pot uvožena v kontekst zasebnega usmerjanja si zasluži enak pregled, ker je uvoz nameren dogovor in ne neškodljiva udobnost. Oddelek 11 RFC 4364 preleti več razporeditev dostopa do interneta za omrežja BGP/MPLS VPN in izmenjavo poti med kontekstom VPN in privzetim posredovalnim kontekstom ponudnika obravnava natanko kot tak dogovor. Vprašajte, kaj preprečuje, da bi javni promet po nesreči zavil na zasebno pot, in odgovor zahtevajte ob politiki poti, ne na diapozitivu.
Dva scenarija izpada, o katerih se dogovorite pred podpisom
V pogodbo vpišite dva testa: izguba internetnega izhoda in izguba ene zasebne povezave. Za vsakega naštete notranje vire, lokalne internetne storitve in poti upravljanja, ki morajo še naprej delovati. Nato naštete rezervno pot, ki mora ostati blokirana, ker je pot okoli osrednjih kontrol slabša od čistega izpada. Dajte oba testa ponudniku in zahtevajte njun pričakovani rezultat pisno, vključno z zaznavanjem in obveščanjem.
Zaženite iste teste s pilotne lokacije in jih primerjajte s tem pisnim odgovorom. Kjer se oba ne ujemata, pogodba opisuje drugo omrežje od tistega, ki ste ga kupili. Dva ukaza pokrijeta običajne primere: eden prikaže pot, ki jo ubere javni cilj, drugi naslov, ki ga vidi.
traceroute -n 203.0.113.10
curl -s https://example.net/ipObveznosti glede razpoložljivosti vežite na izmerjeni segment, ne na ime storitve. Lokalna povezava, hrbtenica ponudnika in skupni prehod nosijo ločene obveznosti in ločene ekipe za stopnjevanje. Črke L2VPN, L3VPN in MPLS opisujejo mehanizem posredovanja, ne garancije od konca do konca.
Dokazi premagajo pridevnike v predlogu
Besede, kot so odvečen, varen in odporen, opisujejo namero in ne zasnove. Namesto tega zahtevajte seznam naprav, lokacije izhodov, shemo prevajanja in pot obveščanja. Ponudnik, ki lahko pripravi te štiri postavke, ima zasnovo; tisti, ki ne more, ima diapozitiv. Odgovore hranite v dokumentaciji storitve in ne v e-poštnem nitju, ter jih pregledajte ob vsaki spremembi pogodbe.
Razporeditve izhoda se tiho premikajo, ko ponudniki združujejo prehode, zato je diagram, star tri leta, breme. Ko partner prijavi neznan izvorni naslov, bi morali v nekaj minutah povedati, ali prihaja iz vaše zasnove ali iz spremembe, ki je nihče ni napovedal. Prav ta sposobnost, in ne pridevniki, preživi prvi izpad.